Abspielen! Rahmen: Verwenden der Sitzung für die Authentifizierung - Java, Authentifizierung, Login, Web, Playframework-2.0

Also verwende ich Play! Framework für ein Website-Projekt.
Ich verwende eine Sitzung, um festzustellen, ob sich der Benutzer angemeldet hat:

session("connected", user.getId().toString());

dann kann ich identifizieren, wer der Benutzer ist, wenn ich es möchte.

Ich habe zwei Fragen:

1. Ist das die beste Praxis?
2. Gibt es Schwachstellen in meinem einfach Login-System, und wie man sie abschafft?

Antworten:

Es ist einfach und sicher, da die Cookies des Sitzungsbereichs mit einem geheimen Schlüssel signiert sind. Wenn keine großen Datenmengen für jede Sitzung gespeichert werden müssen, sollte dies in Ordnung sein.

Suchen Sie nach vorhandenen Lösungen (z. B. zentasks Probe).

Bearbeiten:

Auf der anderen Seite können Sie die Verwendung von Play Authenticate in Erwägung ziehen in meiner Gabel (Zweig 2.0.4_session) im samples / java / play-authenticate-usagees sind nur 3 Commits, also ist es ziemlich einfach, es mit dem bestehenden zu verschmelzen play-authenticate-usage Implementierung.